应用层报文判读71 条

DNS 查询报文结构判读

一次查询含问题段（名称+类型+类）与可能附加段：用 dns.qry.name / dns.qry.type 过滤定位域名与记录类型，问题段是分析起点。

用途	过滤域名与查询类型
字段	dns.qry.name / dns.qry.type / dns.id

常用过滤

dns.qry.name == "api.example.com"
dns.qry.type == 28        # AAAA
dns.flags.response == 0   # 只看查询

查询名是大小写不敏感且可能带搜索域后缀，过滤前先看原文。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌